Как вывести внутриигровые активы за пределы игры и не подписать лишнее

Чтобы вывести внутриигровые активы за пределы игры и не подписать лишнее, различайте три типа запросов: перенос конкретного предмета, выдачу права распоряжаться коллекцией и подпись сообщения без транзакции. Для вывода нужен первый тип. Второй и третий игровые сайты просят чаще, чем требует задача. Проверяйте, что именно у вас просят, и умейте отозвать выданное.

Что происходит с сегментом сейчас

Игровые сайты унаследовали манеру запрашивать разрешения широко, с запасом. Логика разработчика понятна: один раз получить право на коллекцию удобнее, чем просить подтверждение на каждое действие в игре. Логика пользователя противоположна, но интерфейс её не учитывает, и человек подтверждает первый же запрос, который видит.

Из обращений читателей складывается характерная картина. Предмет выведен успешно, человек доволен, а через недели коллекция уходит с адреса без новых подписей. Выяснение занимает полчаса: разрешение оператору было выдано при первом входе в игру, оставалось в силе всё это время и сработало, когда адрес оператора оказался под чужим контролем.

Вторая часть картины — подписи сообщений. Они не стоят платы сети, не попадают в историю операций адреса и потому не воспринимаются как действие. Между тем именно такая подпись чаще всего и есть то «лишнее», о котором идёт речь в теме.

Как вывести внутриигровые активы за пределы игры и не подписать лишнее

Разложим запросы по тому, что они меняют. Это единственный надёжный признак.

Первая строка отличима по виду окна: в нём есть плата сети и один номер предмета. Третья строка платы тоже требует, но номера в ней нет — право выдаётся на всё сразу. Четвёртая строка платы не требует вовсе, и это главный опознавательный признак: если кошелёк не просит денег за операцию, перед вами не транзакция, а подпись документа, который предъявят контракту позже.

Отсюда правило редакции: отсутствие платы в окне — повод читать внимательнее, а не расслабляться. Операция без платы ничего не стоит сейчас и может стоить всего потом.

Как устроена операция технически

Разрешение на коллекцию живёт в контракте как пара «владелец — оператор» со значением «истина». Проверяется оно функцией isApprovedForAll, а разрешение на один номер — функцией getApproved. Обе доступны любому желающему: выданные права публичны и читаются без вашего участия.

У одиночного разрешения есть встроенный срок жизни, о котором мало кто знает. В описании события переноса стандарт оговаривает, что в момент любого переноса одобренный для этого предмета адрес сбрасывается в ничто. Разрешение на коллекцию так не сбрасывается никогда — оно переживает любое число переносов и держится до встречной операции.

Подпись сообщения устроена иначе. Стандарт EIP-712 от 12 сентября 2017 года описывает подпись типизированных данных и вводит домен подписи из полей: имя, версия, номер сети, адрес проверяющего контракта и дополнительная соль. В документе сказано, что программа-агент должна отказаться подписывать, если номер сети в домене не совпадает с активной сетью, а подписи разных версий домена между собой несовместимы.

1. Прочитайте в окне, есть ли в запросе плата сети. Нет платы — это подпись документа, и отклонить её безопасно: вывод от этого не сорвётся.
2. Найдите в запросе номер предмета. Перенос и одиночное разрешение всегда называют конкретный номер, разрешение на коллекцию номера не содержит.
3. Сверьте адрес, которому выдаётся право, с адресом контракта коллекции и с доменом игры. Незнакомый адрес оператора — достаточная причина отклонить запрос.
4. Подпишите только перенос нужного номера. Если игра настаивает на разрешении, запросите у поддержки объяснение, зачем ей право на остальные предметы.
5. После вывода проверьте выданные разрешения по своему адресу и отзовите ненужные. Отзыв — такая же операция с платой сети, как и выдача.

Издержки: комиссии, роялти, газ

Выдача разрешения стоит денег. Отзыв стоит столько же: это встречная операция, которая переписывает ту же запись в обратную сторону. Отсюда неприятный вывод — каждое лишнее разрешение оплачивается дважды, при выдаче и при отмене. Подписи сообщений бесплатны, и в этом их опасность: они не оставляют следа в истории адреса. Полную картину издержек переноса между своими адресами мы собрали отдельно — там показано, как перевести предмет между кошельками и понять структуру комиссий.

Назвать величину платы на дату чтения нельзя, она зависит от сети и загрузки. Смотрите оценку в окне подтверждения и держите в голове, что массовый отзыв разрешений по десятку старых коллекций обходится заметно дороже одной операции, потому что каждая запись переписывается отдельно. Чем отличается сбор сервиса от платы сети, мы разбирали отдельно — полезно разобраться в комиссиях площадки до того, как выдавать права оператору.

Риски и мошеннические схемы сегмента

Схемы здесь не взламывают кошелёк. Они получают согласие.

Первая: «подтвердите владение для входа». Человеку предлагают подписать сообщение, чтобы доказать, что адрес его. Такая подпись бывает законной частью входа, но под её видом подсовывают документ, который разрешает распорядиться предметами. Отличить помогает чтение содержимого запроса: в окне видны поля типизированных данных, включая адрес проверяющего контракта и номер сети, и несовпадение любого из них — повод остановиться.

Вторая: «обновление коллекции». Сайт сообщает, что контракт мигрировал и нужно «переподтвердить права». Запрашивается разрешение оператору на новый адрес. Законная миграция коллекции не требует от вас выдачи прав незнакомому адресу, и такой запрос стоит рассматривать как отказ по умолчанию, даже если оформление страницы выглядит знакомым.

Третья схема рассчитана на усталость. Игровой сайт просит подпись при каждом действии, человек привыкает нажимать «подтвердить» и пропускает единственный запрос другого типа. Защита механическая: читать тип запроса, а не доверять ритму. Чаще всего лишние запросы попадаются тем, кто решил участвовать в бесплатной раздаче предметов на незнакомом сайте. Сопоставимая логика работает и там, где токен даёт права на участие, — об этом в разборе про фан-токены клубов и модель участия болельщиков.

Итог

Вывод предмета требует одной подписи — переноса конкретного номера. Всё остальное, что предлагает игровой сайт, относится к удобству разработчика, а не к вашей задаче. Разрешение на коллекцию бессрочно, публично и отзывается отдельной платной операцией. Подпись сообщения бесплатна и потому незаметна. Ревизия выданных прав раз в квартал закрывает большую часть риска.

Механика прав описана в первоисточниках коротко и ясно. Функции выдачи и проверки разрешений изложены в спецификации ERC-721 на eips.ethereum.org, а устройство подписи типизированных данных с доменом и номером сети — в стандарте EIP-712 о подписи структурированных данных.

Частые вопросы